क्या जिप का एन्क्रिप्शन वास्तव में खराब है?


24

संपीड़न और एन्क्रिप्शन के बारे में कई वर्षों के लिए मानक सलाह यह है कि ज़िप की एन्क्रिप्शन ताकत खराब है।

क्या वास्तव में इस दिन और उम्र में ऐसा है?

मैंने इस लेख को WinZip के बारे में पढ़ा है (इसकी वही खराब प्रतिष्ठा रही है)। उस लेख के अनुसार समस्या को दूर किया जाता है बशर्ते आप अपना पासवर्ड चुनते समय कुछ नियमों का पालन करें।

  1. लंबाई में कम से कम 12 अक्षर
  2. किसी भी शब्दकोश, सामान्य शब्दों या नामों को यादृच्छिक न रखें
  3. कम से कम एक ऊपरी मामला चरित्र
  4. कम से कम एक लोअर केस कैरेक्टर हो
  5. कम से कम एक न्यूमेरिक कैरेक्टर रखें
  6. कम से कम एक विशेष चरित्र जैसे $, £, *,%, &;

इसका परिणाम यह होगा roughly 475,920,314,814,253,000,000,000 possible combinations to brute force

कृपया अपनी जानकारी का बैकअप लेने के लिए हाल ही में (पिछले पांच वर्षों के लिंक) लिंक प्रदान करें।


3
यह कैसे रचनात्मक नहीं है, @random?
डैन डस्केल्सस्कु जूल

जवाबों:


28

पुराने एन्क्रिप्शन की कमजोरी चुने हुए एन्क्रिप्शन एल्गोरिदम की कमजोरी के कारण थी ।

आजकल कोई भी ' एईएस ' के माध्यम से उद्योग ग्रेड एन्क्रिप्शन का उपयोग कर सकता है , जिसका उपयोग हर जगह किया जाता है (और भारी हमले के तहत होता है, लेकिन जैसा कि हमला करना बहुत कठिन लगता है )। जैसा कि साइट ने आपको बताया है: सबसे कमजोर स्थान पासफ़्रेज़ में है और जिन नियमों का आपने विशेष रूप से उल्लेख किया है वे उस समस्या का समाधान करते हैं।

पुराने एन्क्रिप्शन के लिए पासफ़्रेज़ पर नियम लागू नहीं होते हैं, क्योंकि यह पुराना एन्क्रिप्शन अपने आप में बहुत कमज़ोर था, भले ही आप एक अच्छा पासवर्ड चुनें या नहीं।

"समस्या को नियत रूप से हटा दिया जाता है ..." कथन सही नहीं है, क्योंकि जिप फ़ाइलों को एन्क्रिप्ट करने का वास्तविक समाधान एक मजबूत एन्क्रिप्शन एल्गोरिदम और एक मजबूत पासवर्ड चुनना है। अगर एन्क्रिप्शन एल्गोरिथ्म कमजोर है, तो सबसे मजबूत पासवर्ड कुछ भी नहीं है।

Http://www.info-zip.org/FAQ.html#crypto और http://www.topbits.com/how-can-i-recover-a-zip-password.html भी पढ़ें


2
कुछ अच्छी अंतर्दृष्टि और लिंक। लेकिन क्या आपने वाकई मेरे सवाल का जवाब दिया? यह थोड़ा अस्पष्ट है।
निफले

मुझे लगता है कि यह है: ए) अब आप pkzip-homebrew (जो कुछ भी हो) के बजाय एक बेहतर एन्क्रिप्शन साइबरफेयर (aes256) चुन सकते हैं और बी) मैंने कहा कि बेहतर पासफ़्रेज़ का चयन करके समस्या को दूर नहीं किया गया था, लेकिन एक बेहतर साइफ़र चुनकर (एक देखें ))।
अकीरा

3
@ निफ़ल, यह किया। जिप एन्क्रिप्शन खराब था क्योंकि एल्गोरिथ्म बकवास था। ज़िप के नए संस्करणों में, अब आप अधिक सुरक्षित एल्गोरिदम से चुन सकते हैं। जब तक आप सुरक्षित एल्गोरिदम में से एक का चयन करते हैं, तब तक सुरक्षा अन्य समान उत्पाद से बदतर नहीं है। पासफ़्रेज़ की पसंद और एक तरफ कार्यान्वयन जैसे मानक सुरक्षा मुद्दे। यानी सबसे कमजोर श्रृंखला अब उपयोग किए गए एल्गोरिदम में नहीं है।
KTC

एक और बिट है जिसे आपने उल्लेख करने के लिए उपेक्षित किया है, कि एईएस एक ब्लॉक सिफर है, और केवल डेटा की निर्धारित लंबाई ब्लॉक को एन्क्रिप्ट कर सकता है। इस प्रकार, लंबी फ़ाइलों को एन्क्रिप्ट करने के लिए, हर ब्लॉक के लिए नई कुंजी उत्पन्न करने के लिए फैंसी स्कीम विकसित की गई हैं। दुर्भाग्य से, डेवलपर्स कभी-कभी इसे अनदेखा करते हैं, और अपने सॉफ़्टवेयर को एक ही कुंजी के साथ हर ब्लॉक को एन्क्रिप्ट करते हैं, देखें [ en.wikipedia.org/wiki/Cipher-block_chaining]
Eroen

@ विदेश: सवाल पर गौर करें .. आपकी टिप्पणी इससे संबंधित कैसे है?
अकीरा

-3

सममित एन्क्रिप्शन समस्याग्रस्त है। यह कहना अच्छा है और अच्छा है, "बस अपने पासवर्ड के रूप में Waq3 $ f ^ t> p ~ 6pWr का उपयोग करें; और आप ठीक हैं!" लेकिन आप सोशल इंजीनियरिंग और उपयोगकर्ता की लापरवाही के लिए एक बड़ा दरवाजा खोल रहे हैं।

तो मैं कहूँगा, काल्पनिक रूप से , प्रथम श्रेणी का पासवर्ड मानते हुए, आप सममित कुंजी एन्क्रिप्टेड ज़िप प्रोग्राम का उपयोग करके ठीक हैं जो सिद्ध एन्क्रिप्शन एल्गोरिदम प्रदान करता है , लेकिन वास्तविक दुनिया में पासवर्ड की ताकत पर निर्भरता एक बहुत बड़ी कमजोरी है।

@ अकीरा: मैंने यह नहीं कहा कि यह बुरा था , मैंने कहा कि यह समस्याग्रस्त था और यह है। सार्वजनिक कुंजी (असममित) एन्क्रिप्शन के साथ, आपके पास निरंतर सुरक्षा स्तर है। यदि आपके पास 1024 बिट कुंजी है, तो आपका डेटा 1024 बिट एन्क्रिप्टेड है।

सममित कुंजी एन्क्रिप्शन के साथ आपके पास देवतुल्य सुरक्षा (1024 वर्ण पासवर्ड) या बेकार सुरक्षा (1 वर्ण पासवर्ड) हो सकती है, और आपके पास कोई नियंत्रण नहीं है जिसके साथ आप समाप्त होने जा रहे हैं।

(नोट: मैं समझौता किए गए कुंजियों के बारे में बात करने के लिए परेशान नहीं था क्योंकि यह दोनों तरीकों को समान रूप से प्रभावित करता है)

@ निफ़ल: सहमत। कुंजी विनिमय सार्वजनिक कुंजी क्रिप्टो के साथ समस्या है, लेकिन यह बहुत अधिक विश्वसनीय तरीका है। मैं सममित कुंजी एन्क्रिप्शन के खिलाफ अनुशंसा करता हूं क्योंकि यह लोगों को लगता है कि वे सुरक्षित हैं, जब वे नहीं हो सकते हैं।

@ अकीरा: यकीन नहीं होता कि आप किस बारे में बात कर रहे हैं। सिर्फ इसलिए कि निजी कुंजियों को अक्सर पासफ़्रेज़ के साथ सुरक्षित किया जाता है क्योंकि एक अतिरिक्त सुरक्षा का मतलब यह नहीं है कि सममित / असममित एन्क्रिप्शन "वास्तविक एन्क्रिप्शन के लिए सममित कुंजी का उपयोग कर रहा है।" असममित एन्क्रिप्शन दो अलग-अलग कुंजी का उपयोग करता है : एक एन्क्रिप्शन के लिए, एक एन्क्रिप्शन के लिए। और उच्च बिट एन्क्रिप्शन सांप-तेल को कॉल करना सबसे अच्छा है: अगर ऐसा होता तो aes128 aes256 के समान होता।

और एक बार के पैड की किसी भी तरह की मशीन क्रिप्टो से तुलना करना अज्ञानता के सबसे खराब प्रकार को प्रदर्शित करता है। वे सुरक्षित हैं क्योंकि वे उस तरह के शुद्ध यादृच्छिक शोर हैं जो कंप्यूटर, उनकी प्रकृति द्वारा, उत्पादन करने में असमर्थ हैं। आप ऐसा इसलिए कह रहे हैं, क्योंकि एक प्रकार की सममित कुंजी एन्क्रिप्शन सुरक्षित है, फिर सभी प्रकार की सममित कुंजी एन्क्रिप्शन सुरक्षित हैं, जो एक पूर्ण पतन है। और इससे भी बदतर, आप असममित एन्क्रिप्शन के खिलाफ otp पकड़ रहे हैं जब उनके पास एक ही महत्वपूर्ण विनिमय समस्या है!


1
@ सत्तनिकुप्पि: सिमिट्रिक एन्क्रिप्शन के साथ एकमात्र समस्या कुंजी-विनिमय है। और ठीक वैसा ही है जैसा कि असममित एन्क्रिप्शन हल करता है: की-एक्सचेंज। "सिमिट्रिक एन्क्रिप्शन खराब है" भाग नहीं है।
अकीरा

दुर्भाग्यवश सह-श्रमिकों और ग्राहकों के साथ सार्वजनिक कुंजियों का आदान-प्रदान एक गैर-तुच्छ कार्य है। जब तक Microsoft Outlook में कुछ PGP स्वाद मूल रूप से (और प्रति डिफ़ॉल्ट) के लिए समर्थन शामिल करता है, तब तक सममित एन्क्रिप्शन यहाँ रहना है।
निफले

@satanicpuppy: gpg केवल असममित एन्क्रिप्शन के माध्यम से सिमिट्रिक कुंजी को एन्क्रिप्ट करता है, यह वास्तविक एन्क्रिप्शन के लिए सिमिट्रिक कुंजी का उपयोग करता है। सबसे अच्छा एन्क्रिप्शन जो आप प्राप्त कर सकते हैं, वह एक बार-पैड है .. जो कि सिमिट्रिक एन्क्रिप्शन है। इसलिए, ऑयल-स्नेक-हाई-बिट्स-फॉर-कीज़ के जाल में न पड़ें, किसी भी तरह से वर्तमान में उपयोग किए गए सिम्पेट्रिक साइफर्स की तुलना में सुरक्षित हैं जैसे कि एसे 256 इत्यादि असिमेट्रिक कीज़ को आमतौर पर सिमिट्रिक एन्क्रिप्शन (पासफ़्रेज़) द्वारा सुरक्षित किया जाता है। ।
अकीरा

@ निफ़ल: बिल्कुल।
अकीरा २५'१०

@satanicpuppy: "GnuPG एक हाइब्रिड एन्क्रिप्शन सॉफ्टवेयर प्रोग्राम है जिसमें यह गति के लिए पारंपरिक सममित-कुंजी क्रिप्टोग्राफ़ी के संयोजन का उपयोग करता है, और सुरक्षित कुंजी विनिमय में आसानी के लिए सार्वजनिक-कुंजी क्रिप्टोग्राफ़ी, आमतौर पर एक सत्र कुंजी को एन्क्रिप्ट करने के लिए प्राप्तकर्ता की सार्वजनिक कुंजी का उपयोग करके। जो केवल एक बार उपयोग किया जाता है। ऑपरेशन का यह तरीका ओपनपीजीपी मानक का हिस्सा है और इसके पहले संस्करण से पीजीपी का हिस्सा रहा है "
अकीरा
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.